SAML 身份验证的改进

Last published : Oct 14, 2026
此功能需要 SAML 知识、基本的身份验证能力和对 FIPS 的理解才能使用此信息。
您可以将以下 NetScaler 功能与兼容 SAML 2.0 规范的第三方应用程序和服务器配合使用：
  • SAML 服务提供商 (SP)
  • SAML 身份提供商 (IdP)
SP 和 IdP 允许云服务之间进行单点登录 (SSO)。SAML SP 功能提供了一种从 IdP 处理用户声明的方式。IdP 可以是第三方服务或另一个 NetScaler 设备。SAML IdP 功能用于断言用户登录并提供由 SP 消费的声明。
作为 SAML 支持的一部分，IdP 和 SP 模块都会对发送给对等方的数据进行数字签名。数字签名包括来自 SP 的身份验证请求、来自 IdP 的断言以及这两个实体之间的注销消息。数字签名验证消息的真实性。
SAML SP 和 IdP 的当前实现是在数据包引擎中执行签名计算的。这些模块使用 SSL 证书对数据进行签名。在符合 FIPS 标准的 NetScaler 中，SSL 证书的私钥在数据包引擎或用户空间中不可用，因此当前的 SAML 模块尚未为 FIPS 硬件做好准备。
本文档描述了将签名计算卸载到 FIPS 卡的机制。签名验证在软件中完成，因为公钥是可用的。
Related information
配置 SAML 身份验证

解决方案

SAML 功能集已增强，可使用 SSL API 进行签名卸载。有关这些受影响的 SAML 子功能的详细信息，请参阅 NetScaler® 产品文档：
  1. SAML SP Post 绑定 – AuthnRequest 的签名
  2. SAML IdP Post 绑定 – 断言/响应/两者的签名
  3. SAML SP 单点注销场景 – SP 发起的模型中 LogoutRequest 的签名以及 IdP 发起的模型中 LogoutResponse 的签名
  4. SAML SP Artifact 绑定 – ArtifactResolve 请求的签名
  5. SAML SP 重定向绑定 – AuthnRequest 签名
  6. SAML IdP 重定向绑定 – Response/Assertion/两者签名
  7. SAML SP 加密支持 – Assertion 解密

平台

API 只能卸载到 FIPS 平台。

配置

卸载配置在 FIPS 平台上自动执行。
但是，由于 SSL 私钥在 FIPS 硬件的用户空间中不可用，因此在 FIPS 硬件上创建 SSL 证书时，配置会略有不同。
以下是配置信息：
  • add ssl fipsKey fips-key
    创建一个 CSR 并在 CA 服务器上使用它来生成证书。然后，您可以将该证书复制到 /nsconfig/ssl 中。假设文件名为 fips3cert.cer。
  • add ssl certKey fips-cert -cert fips3cert.cer -fipsKey fips-key
    然后在 SAML SP 模块的 SAML 操作中指定此证书。
  • set samlAction <name> -samlSigningCertName fips-cert
    同样，您可以在 SAML IdP 模块的 samlIdpProfile 中使用此证书。
  • set samlidpprofile fipstest –samlIdpCertName fips-cert
FIPS 密钥首次不可用。如果没有 FIPS 密钥，请按照 创建 FIPS 密钥 中所述创建一个。
create ssl fipskey <fipsKeyName> -modulus <positive_integer> [-exponent (3 | F4)]

create certreq <reqFileName> -fipskeyName <string>